node.js 基于后端服务的身份认证

1.什么是身份认证
身份认证(Authentication)又称“身份验证”、“鉴权”，是指通过一定的手段，完成对用户身份的确认。
日常生活中的身份认证随处可见，例如:高铁的验票乘车，手机的密码或指纹解锁，支付宝或微信的支付密码等。
在Web开发中，也涉及到用户身份的认证，例如:各大网站的手机验证码登录、邮箱密码登录,二维码登录等。
对于服务端渲染和前后端分离这两种开发模式来说，分别有着不同的身份认证方案:
服务端渲染推荐使用  Session 认证机制
前后端分离推荐使用  JWT认证机制
HTTP协议的无状态性，指的是客户端的每次HTTP请求都是独立的，连续多个请求之间没有直接的关系，服务器不会主动保留每次HTTP请求的状态。

2.
什么是Cookie
Cookie 是存储在用户浏览器中的一段不超过4KB的字符串。
它由一个名称(Name)、一个值(Value)和其它几个用于控制Cookie有效期、安全性、使用范围的可选属性组成。
不同域名下的Cookie各自独立，每当客户端发起请求时，会自动把当前域名下所有未过期的Cookie一同发送到服务器。
Cookie的几大特性:
自动发送
域名独立
过期时限
4KB限制
Cookie在身份认证中的作用
客户端第一次请求服务器的时候，服务器通过响应头的形式，向客户端发送一个身份认证的Cookie，客户端会自动将Cookie 保存在浏览器中。随后，当客户端浏览器每次请求服务器的时候，浏览器会自动将身份认证相关的Cookie，通过请求头的形式发送给服务器，服务器即可验明客户端的身份。由于Cookie 是存储在浏览器中的，而且浏览器也提供了读写Cookie的API，因此Cookie很容易被伪造，不具有安全性。因此不建议服务器将重要的隐私数据，通过Cookie 的形式发送给浏览器。

3.在 Express中使用Session 认证
配置express-session中间件，express-session中间件安装成功后，需要通过app.use()来注册session中间件

app.use(session({
secret: 'keyboard cat',  // secret属性的值可以为任意字符串
resave: false,   //固定写法
saveUninitialized: true    //固定写法
}))

向session中存数据
当expres-session中间件配置成功后，即可通过req.session来访问和使用session对象，从而存储用户的关键信息:

req.session.name = 'zs'

清空session
调用req.session.destroy()函数，即可清空服务器保存的session信息。

req.session.destroy()

4.  了解Session认证的局限性
Session认证机制需要配合Cookie 才能实现。由于Cookie 默认不支持跨域访问，所以
当涉及到前端跨域请求后端接口的时候，需要做很多额外的配置，才能实现跨域 Session认证。
注意:当前端请求后端接口不存在跨域问题的时候，推荐使用Session身份认证机制。
当前端需要跨域请求后端接口的时候，不推荐使用Session身份认证机制，推荐使用JWT认证机制。

5.什么是JWT
JWT(英文全称:JSON Web Token)是目前最流行的跨域认证解决方案。
JWT认证机制服务器将用户的信息通过Token字符串的形式，保存在客户端浏览器中。服务器通过还原Token字符串的形式来认证用户的身份。

6.JWT的组成部分
JWT通常由三部分组成，分别是Header (头部)、Payload (有效荷载)、Signature（签名）
Payload部分才是真正的用户信息，它是用户信息经过加密之后生成的字符串。
Header和Signature是安全性相关的部分，只是为了保证Token的安全性。

7.JWT的使用方式
客户端收到服务器返回的JWT之后，通常会将它储存在localStorage或sessionStorage中。
此后，客户端每次与服务器通信，都要带上这个JWT的字符串，从而进行身份认证。推荐的做法是把JWT放在HTTP请求头的Authorization字段中，格式如下:
Authorization: Bearer <token>